高速分布式拒绝服务攻击的防御及网络数据流特征提取与应用的研究

1、清华大学硕士研讨生开题报告基于虚拟执行的恶意代码静态分析技术研讨导师：段海新 副教授硕士生：姜晓新2022/8/24.目 录选题背景相关研讨综述研讨目的研讨内容和研讨方案任务进度安排.一、选题背景恶意代码的根本定义及其危害未经授权，干扰计算机系统/网络的程序或代码近30年来，恶意代码技术突飞猛进、数量急剧添加，传播越来越快，已成为当代信息社会的致命杀手恶意代码分析检测技术反编译、虚拟机、断点跟踪、虚拟执行、蜜罐特征扫描、启发式扫描、实时监控、自动防御.一、选题背景需求分析恶意代码技术迅猛开展，传统的人工分析方法难以招架通用、先进、高效的恶意代码分析平台实现恶意代码静态分析、动态分析和网络分析的

2、自动化本课题旨在研讨恶意代码技术和通用的恶意代码静态分析技术.二、相关研讨综述恶意代码技术开展现状传统的恶意代码扫描技术基于行为特征的检测技术虚拟执行技术和反虚拟执行技术反汇编技术和反反汇编技术启发式分析技术自动防御技术.1、恶意代码技术开展现状内存驻留进入系统中心态隐藏加壳多态变形病毒机和变形工具.2、传统的恶意代码扫描技术恶意代码特征码库扫描引擎恶意代码的特征码：特征串和特征字可实现恶意代码的准确匹配复杂的多态、变形恶意代码？E800 0000 005B 8D4B 4251 5050 0F01 4C24 FF5B 83C3 1CFA 8B2BPE文件特征码.3、基于行为特征的静态检测技术将

3、恶意代码的行为特点量化为特征码/向量Windows系统，用户层不能直接操作系统资源，中心层经过API向用户层提供效力反汇编得到完好的API调用序列。检测运用程序调用API情况，断定行为特征关键点：恶意行为特征码库、类似度比较算法欧式间隔，Jaccard扩展余弦，Pearson类似度算法等.CALL 000023262180+5+01952326JMP DWORD PTR DS: 004040C4Import Address Table (IAT)3、基于行为特征的静态检测技术.4、虚拟执行技术又称代码仿真code emulation,虚拟CPU，通用脱壳器等运用虚拟执行技术可对恶意代码的脱壳模

4、块进展解释执行，得到脱壳后的恶意代码脱壳后的恶意代码普通稳定不变，仍可运用特征码进展扫描单步和断点跟踪法要求恶意代码真实执行，不完全可控，普通用于人工分析，无法实现自动分析.for (i=0;i=0 x280) return(0); if (InstLoc+ProgSeekOff=ProgEndOff) return(0); /以上两条判别语句检查指令位置的合法性 saveinstloc(); /存储当前指令在指令缓冲区中的偏移 HasAddNewInst=0; if (!(j=parse() /虚拟执行指令缓冲区中的一条指令 return(0); /遇到不认识的指令时退出循环 if (j=2

5、) /前往值为2阐明发现了解密循环 break; if (i=0 x100) return(0); /执行过256条指令后仍未发现循环那么退出 if (!EncodeInst() /调用解密函数反复执行循环解密过程 . 4、虚拟执行技术.5、反虚拟执行技术插入特殊指令。3DNOW，MMX等特殊的或未公开的指令。构造化异常处置。在恶意代码启动前预先设置本人的异常处置函数，程序故意引发一个异常，虚拟执行时发现非法指令而停顿任务入口点模糊EPO技术。不修正宿主原入口点，在宿主代码体内插入跳转指令运转恶意代码长循环、多线程技术.6、反汇编技术把机器代码转化为汇编代码线性扫描Linear Sweep：对

6、一切在入口点和代码终了之间的机器代码按顺序进展反汇编OllyDbg、IDA、W32Dasm递归遍历Recursive Traversal：按照代码一切能够的执行顺序反汇编Schwarz和Debray、Cifuente和Emmerik.7、反反汇编技术在冯.诺依曼体系构造中，没有明确的方法可以区别代码和数据代码迷惑技术code obfuscation：加壳、多态、花指令junk code、代码分块、分支函数、不变断言、跳转表欺骗可使反汇编软件出现40% 以上的反汇编错误.8、启发式分析技术启发式指“自我发现的才干，具备某种人工智能特点，是未来恶意代码检测技术的开展趋势主要基于虚拟执行技术，反汇编

7、技术、行为特征分析检测技术等，根据行为特征判别恶意代码优点：可发现未知恶意代码缺陷：不能实现恶意代码的准确匹配，正确率只需90 %左右.9、自动防御技术在恶意代码运转时进展自动的全面防备，是实时监控技术的晋级，主要依赖虚拟设备驱动和系统钩挂技术三个层次：资源访问规那么控制；资源访问扫描；程序活动行为分析引擎微点,卡巴斯基,诺顿，江民，瑞星，金山自动防御技术能够被突破：内核级深度隐藏、内核级rootkit、重置系统钩挂.自动防御体系构造瑞星20219、自动防御技术.小结以特征码扫描为主的恶意代码准确识别技术仍是恶意代码防备的中心技术之一加壳、多态和变形技术是恶意代码的主要开展趋势脱壳是静态分析技

8、术的前提和关键“自动防御是最近的平安业界最热的词，但仍有能够被突破在恶意代码执行前，更高级的静态分析依然是恶意代码防备的重要途径.参考文献1 M. Christodorescu, and S. Jha, “Static Analysis of Executables to Detect Malicious Patterns, Proc. Berkeley, CA,2003.2 A. Sung, J. Xu, ., “Static Analyzer for Vicious Executables (SAVE), 20th Annual Computer Security Applications

9、 Conference, December 6-10, 2004.3 Konstantin Rozinov. Efficient Static Analysis of Executables for Detecting Malicious Behaviors, Polytechnic University4 JY Xu, AH Sung, P Chavez, et al. Polymorphic Malicious Executable Scanner by API Sequence Analysis, 2004.5 Richard Ford, PhD., The future of viru

10、s detection ,20046张翼 高级恶意软件技术新挑战突破自动防御 XCON 20077 Peter Szor: The Art of Computer Virus Research and Defense. ISBN 0-321-30454-3,2005, 段海新, 杨波, 王德强译8Bill Blunden：Virtual Machine Design and Implementation in C/C+. ISBN 1-55622-903-8 2002,杨涛,杨晓云,王建桥等译9韩筱卿、王建锋、钟玮,ISBN 7-121-02157-9，200510崔翔:高智能变形病毒原理与防

11、治, 哈尔滨工业大学, 硕士学位论文, 200311 NJUE(匿名):反病毒引擎设计, 2006.三、研讨目的恶意代码静态自动脱壳恶意行为特征静态自动提取基于行为特征规那么的检测算法LINUX平台恶意代码静态分析.四、研讨内容和研讨方案恶意代码技术：加壳、变形和多态技术，恶意代码行为分析通用静态恶意代码自动分析器恶意代码行为特征的生成和检测算法.恶意代码自动分析平台体系构造.通用静态自动分析器构造.1、通用静态脱壳研讨内容采用虚拟执行技术实现恶意代码的自动静态脱壳技术道路绝大多数加壳的恶意代码在其入口处有脱壳器绝大多数脱壳器仅仅运用了INTEL指令集中的一小部分指令参与针对反虚拟执行技术的特

12、殊处置模块特点对恶意代码的可控性强，平安可靠.1、通用静态脱壳.2、行为特征的提取和分析研讨内容静态自动提取恶意代码的行为特征技术道路经过恶意代码的API调用序列断定其行为特征反汇编恶意代码，按照执行顺序提取API调用序列分析比较恶意代码样本和非恶意代码样本的行为特征特点运用基于API调用序列的向量方式表示的行为特征虽然敏感度不高但顺应性强.3、行为特征码检测算法研讨研讨内容建立行为特征库，实现基于行为特征的检测算法技术道路利用恶意代码自动分析平台，统计恶意代码行为特征研讨行为特征的类似度比较算法特点基于行为特征的启发式检测技术是现代检测未知恶意代码的先进技术，降低误报率和提高效率仍是关键问题.4、难点及创新点研讨难点基于虚拟执行技术的通用静态脱壳恶意代码行为特征的提取和分析能够的创新点对采用抗反虚拟执行技术的加壳恶意代码的静态自动脱壳恶意行为特征提取及类似度比较算法.5、工程任务根底国家242信息平安方案工程：恶意代码自动分析平台静态分析动态分析网络分析某军方工程：恶意代码技术研讨.6、预期研讨成果恶意代码技术和恶意代码静态分析检测技术综述设计实现恶意代码分析平台的静态分析器静态自动脱壳API调用序列的静态自动提取基于API调用序列的行为特征提取和类似度比较算法发表相关学术论文12篇.五、任务进度安排2